Arnaques en ligne : comment les reconnaître au-delà du phishing par e‑mail

Un SMS annonce qu’un colis attend une régu­la­ri­sa­tion de quelques cen­times. Un appel pré­vient qu’une opé­ra­tion sus­pecte vient d’être détec­tée sur votre compte. Un mes­sage pri­vé pré­ten­du­ment envoyé par un proche demande un ser­vice urgent depuis un nou­veau numé­ro. Aucune de ces sol­li­ci­ta­tions n’ar­rive par e‑mail, mais toutes cherchent à obte­nir une action avant que vous ne pre­niez le temps d’en véri­fier l’o­ri­gine. Cet article se concentre sur les autres canaux, ceux par les­quels les arnaques en ligne arrivent quand la boîte de récep­tion n’est plus le point d’entrée.

Les signaux d’alerte qui reviennent souvent

Une arnaque ne repose pas tou­jours sur la peur, et elle n’est pas tou­jours pres­sante. Une fausse bou­tique joue sur le prix, une escro­que­rie sen­ti­men­tale sur la confiance construite pen­dant des semaines. Ce qui se répète, c’est plu­tôt un enchaî­ne­ment en trois temps : un pré­texte cré­dible, une émo­tion pro­vo­quée, puis une action demandée.

Le pré­texte emprunte une situa­tion ordi­naire, une livrai­son, un rem­bour­se­ment, une fac­ture, une rela­tion. L’é­mo­tion peut être la peur, l’ur­gence, l’en­vie d’une bonne affaire ou la confiance. L’ac­tion deman­dée, elle, est ce qui varie le moins : cli­quer, payer, trans­mettre une infor­ma­tion, ins­tal­ler un logi­ciel. C’est cette der­nière étape qui mérite votre atten­tion, car c’est la seule qui vous engage vraiment.

La ques­tion à se poser devant une sol­li­ci­ta­tion inat­ten­due
➔ Quel pré­texte est avan­cé, et suis-je en mesure de le véri­fier ailleurs ?
➔ Qu’est-ce que ce mes­sage cherche à me faire res­sen­tir ?
➔ Que me demande-t-on de faire, concrè­te­ment, et cette action est-elle réversible ?

Le SMS frauduleux

Le SMS frau­du­leux, par­fois appe­lé « smi­shing » par contrac­tion de SMS et de phi­shing, reprend les mêmes pré­textes que son cou­sin e‑mail : un colis blo­qué, une amende à régler, un rem­bour­se­ment à récla­mer. Quand un paie­ment est récla­mé, la somme est sou­vent minime, un ou deux euros, ce qui rend le geste ano­din. Ce n’est pas elle qui inté­resse l’es­croc : ce sont les coor­don­nées de carte ban­caire sai­sies pour la verser.

Contrai­re­ment à un e‑mail, le SMS four­nit très peu d’in­dices visibles sur son ori­gine. Le nom ou le numé­ro affi­ché peut être usur­pé, l’é­cran est petit, l’a­dresse du lien peut être rac­cour­cie ou tron­quée, et le mes­sage est sou­vent lu en mar­chant ou dans les trans­ports. Le contexte de lec­ture fait une par­tie du tra­vail de l’escroc.

Le réflexe utile ne consiste pas à exa­mi­ner le lien, mais à ne pas l’emprunter du tout : ouvrez vous-même l’ap­pli­ca­tion ou le site du trans­por­teur, de l’ad­mi­nis­tra­tion ou de la banque concer­née, et regar­dez si l’in­for­ma­tion annon­cée s’y trouve.

L’appel téléphonique et le faux support technique

Le faux conseiller ban­caire peut connaître votre nom, votre banque, par­fois vos der­nières opé­ra­tions : ces infor­ma­tions cir­culent après une fuite de don­nées ou un pré­cé­dent hame­çon­nage, et servent ensuite à rendre l’ap­pel cré­dible. Il annonce une opé­ra­tion frau­du­leuse en cours et pro­pose de la blo­quer. Un conseiller ban­caire ne vous deman­de­ra jamais de lui com­mu­ni­quer un code de sécu­ri­té, ni de vali­der à sa demande une opé­ra­tion que vous n’a­vez pas vous-même enga­gée. La nuance compte : votre banque peut légi­ti­me­ment vous deman­der de confir­mer un paie­ment que vous venez de faire, c’est le prin­cipe même de l’au­then­ti­fi­ca­tion forte. Ce qui doit aler­ter, c’est la vali­da­tion deman­dée par un tiers, pour une opé­ra­tion que vous n’a­vez pas déclenchée.

Le faux sup­port tech­nique suit un autre che­min. Un mes­sage d’a­lerte s’af­fiche dans le navi­ga­teur, une fenêtre annonce une infec­tion, un numé­ro invite à appe­ler un ser­vice d’as­sis­tance. Au bout du fil, l’in­ter­lo­cu­teur demande d’ins­tal­ler un logi­ciel de prise en main à dis­tance pour « diag­nos­ti­quer le pro­blème ». C’est l’un des signaux les plus carac­té­ris­tiques de cette arnaque : cette ins­tal­la­tion donne à un incon­nu le contrôle de votre machine, et donc de vos ses­sions ouvertes, y com­pris votre banque en ligne et votre espace d’hébergement.

Dans les deux cas, la sor­tie est la même : rac­cro­cher, puis rap­pe­ler l’or­ga­nisme sur un numé­ro que vous êtes allé cher­cher vous-même, sur votre contrat, votre carte ban­caire ou le site officiel.

La fausse boutique en ligne

Ici, ni peur ni urgence, mais un prix. Un article introu­vable ailleurs, ou affi­ché très en des­sous de son prix habi­tuel. Plu­sieurs élé­ments peuvent être exa­mi­nés avant de com­man­der, à condi­tion de les prendre pour ce qu’ils sont : des indices conver­gents, jamais des preuves isolées.

Les men­tions légales sont un pre­mier point de contrôle. Leur absence est un signal net, mais leur pré­sence ne garan­tit rien, puis­qu’elles se copient d’un site à l’autre en quelques secondes. Le bon usage consiste à les lire : une rai­son sociale et un numé­ro d’im­ma­tri­cu­la­tion qui ne cor­res­pondent à aucune entre­prise iden­ti­fiable en disent plus long que l’ab­sence de la page. Nous détaillons ce que cette page doit conte­nir dans notre article sur ce qu’il faut ren­sei­gner dans la page Men­tions légales, utile pour savoir ce que vous devriez y trou­ver chez les autres.

L’i­den­ti­té annon­cée peut être véri­fiée dans l’An­nuaire des entre­prises. Ne vous arrê­tez pas à l’exis­tence de la socié­té : com­pa­rez aus­si son acti­vi­té, son adresse et, lors­qu’il est ren­sei­gné, son site Inter­net. Une fausse bou­tique peut reprendre les infor­ma­tions par­fai­te­ment réelles d’une entre­prise qui n’a aucun lien avec elle.

Les moyens de paie­ment peuvent aus­si aler­ter. Une bou­tique qui n’ac­cepte que le vire­ment ban­caire, ou qui oriente vers une appli­ca­tion de paie­ment entre par­ti­cu­liers, doit éveiller votre méfiance. Ces moyens ne per­mettent notam­ment pas de béné­fi­cier de l’é­ven­tuelle pro­cé­dure de rétro­fac­tu­ra­tion pro­po­sée, sous condi­tions, pour cer­tains paie­ments par carte. À l’in­verse, la simple pré­sence d’un paie­ment par carte ne garan­tit pas que la bou­tique soit légitime.

L’adresse du site mérite le même exa­men. Une fausse bou­tique se loge sou­vent dans un nom de domaine qui imite celui d’une enseigne connue à une lettre près, avec un tiret ajou­té ou une ter­mi­nai­son dif­fé­rente : lu rapi­de­ment, le nom paraît fami­lier, alors que le site n’a aucun lien avec la marque. Lisez l’a­dresse carac­tère par carac­tère, et com­pa­rez-la à celle que vous obte­nez en cher­chant l’en­seigne vous-même plu­tôt qu’en sui­vant un lien reçu. Ce pro­cé­dé porte un nom, le typos­quat­tage, et il se regarde aus­si depuis l’autre côté : si vous ven­dez en ligne, c’est votre propre nom qui peut être imi­té ain­si, ce que nous trai­tons dans notre article sur pro­té­ger le nom de sa marque en ligne.

L’an­cien­ne­té du nom de domaine est un autre indice, consul­table dans les annuaires publics d’en­re­gis­tre­ment, mais un domaine récent peut appar­te­nir à un com­mer­çant qui vient d’ou­vrir. Aucun de ces élé­ments ne tranche seul ; plu­sieurs inco­hé­rences ren­forcent le doute, mais un signal grave peut suf­fire à faire renoncer.

Les réseaux sociaux et les messageries

Le compte d’un proche est pira­té, et ses contacts reçoivent une demande d’aide finan­cière. Ou bien un mes­sage arrive d’un numé­ro incon­nu, avec la for­mule « bon­jour, j’ai chan­gé de numé­ro », sui­vie quelques échanges plus tard d’une demande d’a­vance. Le pré­texte n’est plus ins­ti­tu­tion­nel, il est affec­tif, ce qui le rend plus dif­fi­cile à mettre en doute.

Deux autres formes visent par­ti­cu­liè­re­ment les pro­fes­sion­nels. Le faux compte d’as­sis­tance, d’a­bord, qui sur­veille les publi­ca­tions men­tion­nant une marque et répond en mes­sage pri­vé sous une iden­ti­té proche de celle du ser­vice client offi­ciel. Le faux aver­tis­se­ment, ensuite : une noti­fi­ca­tion annonce que votre page pro­fes­sion­nelle enfreint les règles et sera sup­pri­mée sous vingt-quatre heures, avec un lien de « contes­ta­tion » qui mène à un for­mu­laire de connexion factice.

La parade consiste à véri­fier par un second canal. Pour un proche, appe­lez-le sur le numé­ro que vous connais­siez déjà. Pour un ser­vice client ou un réseau social, fer­mez le mes­sage et reve­nez direc­te­ment à l’ap­pli­ca­tion ou au site offi­ciel, sans uti­li­ser le lien reçu.

Quand c’est votre activité qui est visée

Les indé­pen­dants, les PME et les asso­cia­tions sont expo­sés à des scé­na­rios spé­ci­fiques, où l’es­croc a sou­vent pris le temps de se docu­men­ter sur l’or­ga­ni­sa­tion avant d’agir.

Le chan­ge­ment de coor­don­nées ban­caires vise direc­te­ment votre cir­cuit de paie­ment. Un four­nis­seur habi­tuel signale un nou­veau RIB, avec un cour­rier ou un mes­sage repre­nant sa charte gra­phique et ses réfé­rences de dos­sier. Le vire­ment sui­vant part sur le compte de l’es­croc. La parade n’est pas tech­nique : elle consiste à appe­ler sys­té­ma­ti­que­ment le four­nis­seur, au numé­ro de son contrat et non à celui indi­qué sur la demande, avant toute modi­fi­ca­tion d’un RIB enregistré.

Le faux ordre de vire­ment repose sur l’au­to­ri­té. Un mes­sage se pré­sen­tant comme venant d’un diri­geant ou d’un expert-comp­table demande un vire­ment excep­tion­nel et confi­den­tiel, en insis­tant sur la dis­cré­tion. Le moment choi­si n’est pas neutre : une veille de week-end ou de congés réduit les pos­si­bi­li­tés de véri­fi­ca­tion. Et la confi­den­tia­li­té récla­mée est pré­ci­sé­ment ce qui empêche de véri­fier, ce qui devrait suf­fire à aler­ter. Une règle interne suf­fit à neu­tra­li­ser le pro­cé­dé : au-delà d’un mon­tant que vous fixez, tout vire­ment inha­bi­tuel se confirme de vive voix, sans excep­tion, y com­pris quand la demande vient d’en haut.

Le réflexe qui couvre tous les canaux

Il n’existe pas de liste de signaux capable de cou­vrir toutes les arnaques, d’au­tant qu’un mes­sage soi­gné, sans faute et bien mis en page, ne garan­tit rien. En revanche, un seul prin­cipe fonc­tionne quel que soit le canal, et il tient en une phrase.

En cas de doute, inter­rom­pez l’é­change et véri­fiez l’in­for­ma­tion par un moyen que vous avez obte­nu indé­pen­dam­ment. N’u­ti­li­sez ni le lien, ni le numé­ro de télé­phone, ni l’a­dresse qui vous ont été four­nis dans le mes­sage. Retour­nez à ce que vous connais­siez déjà : votre appli­ca­tion ban­caire, un numé­ro noté dans vos contacts, l’a­dresse du site que vous tapez vous-même, le contrat signé avec votre fournisseur.

Ce prin­cipe vaut aus­si pour l’e-mail, canal que ce blog traite en détail dans son article sur com­ment recon­naître un e‑mail de phi­shing, avec un exemple com­men­té. Ce réflexe gagne enfin à être dou­blé d’une pro­tec­tion des comptes eux-mêmes : un mot de passe unique par ser­vice et l’au­then­ti­fi­ca­tion à deux fac­teurs limitent les dégâts quand des iden­ti­fiants de connexion ont été trans­mis, un sujet déve­lop­pé dans notre article sur com­ment sécu­ri­ser ses mots de passe.

Si vous avez déjà cliqué, payé ou communiqué une information

L’er­reur arrive, y com­pris à des per­sonnes aver­ties, et il faut alors agir rapi­de­ment. Les gestes à effec­tuer dépendent de ce que vous avez fait.

Les gestes immé­diats
➔ Contac­tez votre banque sans attendre si vous avez sai­si des don­nées de carte ban­caire ou effec­tué un paie­ment. Pour une carte, deman­dez sa mise en oppo­si­tion. Pour un vire­ment, deman­dez s’il peut encore être annu­lé ou rap­pe­lé. Signa­lez éga­le­ment toute opé­ra­tion que vous n’a­vez pas auto­ri­sée.
➔ Chan­gez les accès concer­nés si vous avez trans­mis un mot de passe ou un code de connexion. Faites-le depuis un appa­reil de confiance, décon­nec­tez les ses­sions ouvertes, puis modi­fiez les accès de tous les ser­vices où le même mot de passe était uti­li­sé.
➔ Sécu­ri­sez l’ap­pa­reil si vous avez ins­tal­lé un logi­ciel de prise en main à dis­tance. Décon­nec­tez-le du réseau si la ses­sion est encore active, dés­ins­tal­lez le logi­ciel et lan­cez une ana­lyse appro­fon­die. Faites-vous assis­ter si vous avez un doute. La fiche de Cyber​mal​veillance​.gouv​.fr sur le faux sup­port tech­nique détaille ces opé­ra­tions.
➔ Conser­vez les preuves : cap­tures d’é­cran, SMS, e‑mails, réfé­rences de vire­ment, adresse du site. Elles seront deman­dées au moment du signa­le­ment ou de la plainte.
➔ Pré­ve­nez l’or­ga­nisme usur­pé, qui pour­ra aler­ter ses autres clients et deman­der la fer­me­ture du site frauduleux.

Un simple clic ne signi­fie pas à lui seul que vos comptes ont été com­pro­mis. Si vous n’a­vez sai­si aucune infor­ma­tion, télé­char­gé aucun fichier et auto­ri­sé aucune ins­tal­la­tion, fer­mez la page et véri­fiez que votre navi­ga­teur et votre sys­tème sont à jour. En cas de doute sur le com­por­te­ment de l’ap­pa­reil, lan­cez une ana­lyse de sécurité.

Que faire et où signaler ?

Signa­ler ne répare pas votre situa­tion per­son­nelle, mais peut contri­buer à faire fer­mer des sites et blo­quer des numé­ros. Le gui­chet dépend de ce que vous avez rencontré.

Deux pré­ci­sions évitent une démarche inutile. Un signa­le­ment sur PHAROS ne vaut pas dépôt de plainte : la pla­te­forme recueille des conte­nus publics et des com­por­te­ments illi­cites, qu’elle oriente vers les ser­vices d’en­quête. En cas de dan­ger immé­diat pour une per­sonne, c’est le 17 qui répond.

THESEE ne couvre pas toutes les fraudes, ni tous les publics. La pla­te­forme per­met de por­ter plainte en ligne pour plu­sieurs situa­tions pré­cises, dont le faux site de vente, la petite annonce frau­du­leuse, le pira­tage de mes­sa­ge­rie ou de compte de réseau social et le chan­tage en ligne. Les escro­que­ries aux faux inves­tis­se­ments en sont exclues et exigent un dépôt de plainte sur place. Sur­tout, elle est réser­vée aux par­ti­cu­liers majeurs : un pro­fes­sion­nel vic­time en tant que tel doit se rendre en com­mis­sa­riat ou en bri­gade de gendarmerie.

À retenir

• Le canal change, le méca­nisme reste : un pré­texte cré­dible, une émo­tion pro­vo­quée, puis une action deman­dée. C’est l’ac­tion qui doit rete­nir votre atten­tion, car c’est elle qui vous engage.
• Sur un SMS, n’exa­mi­nez pas le lien : ouvrez vous-même le site ou l’ap­pli­ca­tion concernée.
• Au télé­phone, aucun conseiller ban­caire ne demande un code de sécu­ri­té ni la vali­da­tion d’une opé­ra­tion que vous n’a­vez pas enga­gée. Une demande inat­ten­due d’ins­tal­ler un logi­ciel de prise en main à dis­tance est carac­té­ris­tique du faux sup­port technique.
• Sur une bou­tique incon­nue, les men­tions légales peuvent être copiées et un domaine récent ne prouve pas à lui seul qu’il y a fraude. Véri­fiez l’i­den­ti­té de l’en­tre­prise, cher­chez plu­sieurs indices et méfiez-vous d’un paie­ment par vire­ment imposé.
• Dans votre acti­vi­té, un chan­ge­ment de RIB et un vire­ment urgent et confi­den­tiel se confirment de vive voix, au numé­ro que vous connais­siez déjà.
• Le réflexe unique : inter­rompre, puis véri­fier par un moyen obte­nu indé­pen­dam­ment du message.
• Après coup, la réac­tion dépend de ce que vous avez fait : la banque pour un paie­ment ou des don­nées de carte, les accès pour des iden­ti­fiants trans­mis, l’ap­pa­reil pour un logi­ciel ins­tal­lé. Conser­vez ensuite les preuves et signa­lez les faits.

Image à la une : pho­to de ROBIN WORRALL